PHP кодында екі кемшілік шамамен жиырма жыл бойы байқалмай жатты. Оларды қауіпсіздік инженерлерінің тобы емес, жасанды интеллект тапты — дәлірек айтсақ, екі ЖИ жүйесі бір-біріне тәуелсіз жұмыс істеп. Google-ге тиесілі киберқауіпсіздік компаниясы Wiz өз ЖИ-агентін PHP бастапқы кодына бағыттады. Ал Calif атты фирма OpenAI-дің GPT-5.6 моделін (Sol деп аталады) қолданып, дерлік бірдей нәтижеге жетті. Екеуі де бір кемшілікке тап болды — оны PHP2Shell деп атады, CVE-2026-109618 және CVE-2026-109619 ретінде тіркелді.
Қарапайым тілмен айтсақ, бұл кемшілік шабуылдаушыға құпия сөз немесе логинсіз басқа біреудің серверінде қашықтан кез келген кодты орындауға мүмкіндік береді — яғни сайтты толықтай басып алуға болады. PHP бағдарламалау тілі анықталатын сайттардың шамамен жетеуінің оныншысында қолданылады, оның ішінде WordPress пен мыңдаған мемлекеттік порталдар бар. Wiz компаниясы бұл табылымды «PHP тарихындағы, мүмкін тіпті бағдарламалық жасақтама тарихындағы ең ауыр осалдықтардың бірі» деп атады.
Wiz алғашқы кемшілікті 19 тамызда тапты, бес күннен кейін PHP тобына хабарлады. Әзірлеушілер Cloudflare, AWS, Microsoft, Google Cloud, Automattic (WordPress.com иесі), Fastly, Akamai, Imperva және Vercel-мен бірге үнсіз жөндеу дайындады — бұл тізім интернеттің қаншалықты бөлігі осы жамауға тәуелді болғанын көрсетеді. Жария ету 22 қазанға жоспарланған еді, бірақ 20 қазанда мәліметтер желіге тарап кетті, сол себепті жамауды мерзімінен бұрын шығаруға мәжбүр болды — 21 қазанда сағат 14:00 UTC-де 8.5.12, 8.4.27, 8.3.36, 8.2.35 нұсқалары үшін, әрі 8.1, 8.0, 7.4 үшін кері портаулармен.
Жамаулар серверлерге таралып жатқанда, бірнеше ел сақтық үшін мемлекеттік қызметтерінің бөлігін өшірді. Нидерландыда Overheid.nl порталы, KNVB футбол федерациясының сайты, ірі партиялардың беттері мен бірнеше аурухана сайты істен шықты. Финляндияда Valtori операторы мемлекеттік желіні өшірді, Францияда ІІМ сайттары алдын ала техникалық қызмет көрсетуге көшті, Данияда мектеп платформасы Kombit өшірілді, Жапонияда Sakura Internet дерекқор функцияларының бір бөлігін сөндірді. АҚШ-тың ҰҚА сирек кездесетін жария ескерту жасады, ал «Википедия» жүйелерінің бір бөлігін уақытша тоқтатты.
Бұл оқиғаны қызықты ететін кемшіліктің өзі емес, оны кімнің тапқаны. Екі компания, екі түрлі ЖИ, бір ғана табылым — әлі ешбір адам хабарламай тұрып, бірнеше ай бұрын. Қауіпсіздік мамандары енді ашық айтады: егер ЖИ бүкіл интернет сенетін кодтан жиырма жылдық саңылауды қазып ала білсе, сол құралдар ерте ме, кеш пе, шабуылдаушылардың қолына да түседі — сол кезде есеп айлармен емес, сағаттармен жүреді.
